§§ 15 až 17 zákona: povinnost hlásit kybernetické bezpečnostní incidenty

Kdy má incident významný dopad

Kybernetický bezpečnostní incident má významný dopad na poskytování regulované služby, pokud vám způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty, nebo pokud způsobil nebo může způsobit jiným osobám značnou újmu (§ 15 odst. 3).

Co hlásíte, záleží na režimu. V režimu vyšších povinností hlásíte NÚKIB každý incident, který se projevil ve stanoveném rozsahu, má původ v kybernetickém prostoru a u něhož nelze do 24 hodin vyloučit úmyslné zavinění, i bez významného dopadu (§ 15 odst. 1). V režimu nižších povinností hlásíte Národnímu CERT jen takový incident s významným dopadem (§ 15 odst. 2); práh si stanovíte sami jako únosnou míru újmy a oblasti posouzení (vyhláška č. 410/2025 Sb., § 14). Pro cloud, datová centra, řízené služby a další digitální služby platí prahy prováděcího nařízení (EU) 2024/2690 (§ 18 odst. 2 zákona). Rozhodnutí vždy zaznamenejte i s důvodem.

§ 15 zákona č. 264/2025 Sb. · čl. 23 odst. 3 NIS 2

Kdy začíná běžet lhůta a kde hlásíte

Lhůty běží od zjištění incidentu, ne od chvíle, kdy je vše jasné (§ 16 odst. 1). Zákon okamžik zjištění blíže nevymezuje. Formulář na Portálu NÚKIB se ptá na datum a čas zjištění, zaznamenejte si je proto hned.

Hlásíte přes Portál NÚKIB, kam se statutární orgán nebo jím pověřený zástupce přihlašuje přes Identitu občana (NIA). Povinnost hlásit začíná nejpozději 1 rok ode dne doručení rozhodnutí o registraci (§ 15 odst. 4); dobrovolná hlášení přijímá NÚKIB i dříve (§ 15 odst. 5).

Jsou-li dotčeny osobní údaje, ohlašujete porušení zabezpečení zpravidla také Úřadu pro ochranu osobních údajů: bez zbytečného odkladu a pokud možno do 72 hodin, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro dotčené osoby (čl. 33 GDPR). Jedno hlášení nenahrazuje druhé.

§§ 15 a 16 zákona č. 264/2025 Sb. · čl. 33 GDPR

Co dalšího zákon upravuje

§ 16 odst. 2: v režimu vyšších povinností vám NÚKIB do 24 hodin od prvotního hlášení sdělí, zda má incident významný dopad na kybernetický prostor státu. Podle toho podáváte oznámení a závěrečnou zprávu.

§ 16 odst. 4: nelze-li Portál NÚKIB použít, pošlete hlášení e-mailem na adresu určenou pro hlášení incidentů nebo do datové schránky, v režimu vyšších povinností NÚKIB, v režimu nižších povinností Národního CERT.

§ 17 odst. 1 a 2: NÚKIB nebo Národní CERT se k incidentu vyjádří nejpozději do 24 hodin od prvotního hlášení a na vaši žádost poskytne metodickou podporu ke zmírňujícím opatřením, případně další technickou podporu.

§ 19 odst. 1: incident s významným dopadem oznámíte uživatelům služby, pokud to považujete za vhodné. NÚKIB vám může uložit povinnost nebo zákaz je informovat.

Co to znamená pro firmu s 50 až 150 zaměstnanci

Předem rozhodněte, kdo posoudí, zda je incident nutné hlásit, a kdo ho nahlásí. V nouzi na to bývá málo času.

Ověřte, že se tato osoba dnes dokáže přihlásit na Portál NÚKIB přes Identitu občana a že ji statutární orgán pověřil jako zástupce. Určete i toho, kdo ji zastoupí. Má-li přístup jen jedna osoba, 24 hodin se rychle zúží.